高校門戶網(wǎng)站內(nèi)容安全解決方案

PAGE成都誠盟科技有限公司PAGE14成都誠盟科技有限公司地址：成都市一環(huán)路西一段88號香月楠岸4-606電話：86(28)61338669郵編：610041傳真：86(28)8150275411-成都誠盟科技有限公司 成都誠盟科技有限公司地址：成都市一環(huán)路西一段88號香月楠岸4-606電話：86(28)61338669郵編：610041傳真：86(28)81502754高校門戶網(wǎng)站內(nèi)容安全解決方案成都誠盟科技有限公司技術(shù)部2010/9

前言高校教育門戶網(wǎng)站，不僅是學(xué)校的宣傳窗口，更重要的是為了促進(jìn)依法行政，提高辦事效率，積極發(fā)揮“信息公開”、“在線服務(wù)”及“公眾參與”三大功能，同時(shí)四川省教育廳把教育門戶網(wǎng)站建設(shè)管理納入年度綜合目標(biāo)管理考核內(nèi)容，因此高校以及教育行政部門加強(qiáng)對自己的門戶網(wǎng)站建設(shè)。保障其穩(wěn)定、安全運(yùn)行是必要的。目前學(xué)校各部門網(wǎng)站絕大多數(shù)都部署在一臺web服務(wù)器上，通過IIS設(shè)置虛擬目錄接入網(wǎng)絡(luò)；還有就是學(xué)校的分院以及部門二級部門需要他們有對自己的網(wǎng)站有一定的管理權(quán)限，就單獨(dú)的提供服務(wù)器，建自己部門的網(wǎng)站，在學(xué)校的網(wǎng)站上提供鏈接。這樣既不利于對網(wǎng)站的管理和維護(hù)，同時(shí)也不可避免的存在病毒、漏洞攻擊等各種各樣的潛在危險(xiǎn)。一旦，某一個(gè)網(wǎng)站的文件被病毒侵害，則整個(gè)學(xué)校的網(wǎng)站都要受到嚴(yán)重的威脅,將面臨全校網(wǎng)站都無法訪問等問題。同時(shí)對網(wǎng)站的內(nèi)容不能進(jìn)行統(tǒng)一有效的監(jiān)控，會(huì)出現(xiàn)一些非法的鏈接，發(fā)布一些非法信息等。根據(jù)以上情況，本公司提供服務(wù)器虛擬化產(chǎn)品Virtuozzo和網(wǎng)清網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)的解決方案。產(chǎn)品簡介Virtuozzo服務(wù)器虛擬化系統(tǒng)Virtuozzo是一項(xiàng)服務(wù)器虛擬化和自動(dòng)化技術(shù)，利用Virtuozzo可以在一臺服務(wù)器上創(chuàng)建多個(gè)相互隔離的虛擬專用服務(wù)器（VirtualPrivateServer,VPS）。這些VPS以最大化的效率共享硬件、軟件許可證以及管理資源。對其用戶和應(yīng)用程序來講，每一個(gè)VPS平臺的運(yùn)行和管理都與一臺獨(dú)立主機(jī)完全相同，因?yàn)槊恳粋€(gè)VPS均可獨(dú)立進(jìn)行重啟并擁有自己的root訪問權(quán)限、用戶、IP地址、內(nèi)存、過程、文件、應(yīng)用程序、系統(tǒng)函數(shù)庫以及配置文件。VPS的運(yùn)行和管理與獨(dú)立主機(jī)完全相同每一個(gè)VPS擁有其獨(dú)立的過程、用戶、文件并提供完全ROOT訪問權(quán)限每一個(gè)VPS可以擁有獨(dú)立IP地址、端口號碼、表單、以及過濾和路由規(guī)則每個(gè)VPS可以擁有其自己的系統(tǒng)配置文件并能夠裝載一個(gè)應(yīng)用程序每個(gè)VPS可以擁有自己的系統(tǒng)函數(shù)庫版本或者修改現(xiàn)有的系統(tǒng)函數(shù)庫版本示例：單個(gè)服務(wù)器可運(yùn)行多個(gè)版本的Linux系統(tǒng)為每一個(gè)VPS提供專用SLA以保證服務(wù)質(zhì)量標(biāo)準(zhǔn)服務(wù)：包括CPU、磁盤空間和網(wǎng)絡(luò)I/O保證獨(dú)有服務(wù)：內(nèi)存保證–用戶和內(nèi)核、物理服務(wù)器和虛擬服務(wù)器獨(dú)有服務(wù)：磁盤I/O保證和更多其它關(guān)鍵資源保證（超過20個(gè)）VPS不是虛擬機(jī)（VM）！僅以同樣的操作系統(tǒng)作為root操作系統(tǒng)–LinuxonLinux,WindowsonWindws10-100倍提高效率，LB和更多動(dòng)態(tài)QoS變化VPS在不改變軟件的條件下運(yùn)行現(xiàn)有軟件VPS產(chǎn)品優(yōu)勢：隔離分區(qū)√徹底消除單用戶拖垮整臺服務(wù)器的風(fēng)險(xiǎn)；√徹底隔離不同用戶，保證服務(wù)器運(yùn)行并維系用戶；√增加安全性，甚至高于獨(dú)立主機(jī)的安全性；√保障每個(gè)用戶的網(wǎng)絡(luò)資源；√增強(qiáng)了網(wǎng)絡(luò)安全性，甚至高于獨(dú)立主機(jī)的安全性，不至于被其他用戶影響；資源管理√極少關(guān)于服務(wù)質(zhì)量的投訴電話；√更多的資源成為用戶快樂的源泉；√能夠做出資源保證，讓用戶得到獨(dú)立主機(jī)般的體驗(yàn)；√允許使用空閑的資源以提供比獨(dú)立主機(jī)更好的服務(wù)；√客服響應(yīng)提高，增加客戶滿意度；√更多的資源成為用戶快樂的源泉；√能夠做出資源保證，讓用戶得到獨(dú)立主機(jī)般的體驗(yàn)；服務(wù)器虛擬化√徹底消除定期維護(hù)的停機(jī)時(shí)間；√使用戶的升級更加簡便容易；管理工具√減少對服務(wù)器的管理時(shí)間；√在幾秒鐘內(nèi)創(chuàng)建VPS；√在幾秒鐘內(nèi)輕而易舉部署和更新應(yīng)用軟件；√整合備份功能；√全面的版本和服務(wù)器資源工具；終端用戶工具√用戶的自助管理降低了技術(shù)支持成本；√提供內(nèi)置的備份、恢復(fù)、重啟和故障排查工具，提供比獨(dú)立主機(jī)服務(wù)更優(yōu)的服務(wù)；網(wǎng)清網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)網(wǎng)清網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)，是新一代的網(wǎng)絡(luò)內(nèi)容智能監(jiān)控系統(tǒng)。網(wǎng)清首創(chuàng)的“語義關(guān)聯(lián)深度搜索算法引擎”達(dá)到了檢索精度和性能的最優(yōu)化平衡，針對數(shù)據(jù)中心的WEB服務(wù)器集群提供了高效和全面的內(nèi)容監(jiān)控手段。網(wǎng)清采用在機(jī)的內(nèi)容過濾方式，不僅可以屏蔽不良信息，而且可以隨時(shí)對檢出的不良網(wǎng)站進(jìn)行關(guān)?？刂?，以防為主，防治結(jié)合，達(dá)到了“監(jiān)”與“控”的完美結(jié)合。網(wǎng)清采用了先進(jìn)的集中管理方式，關(guān)鍵詞發(fā)布、系統(tǒng)升級等任務(wù)全部實(shí)現(xiàn)了自動(dòng)化，使內(nèi)容監(jiān)控任務(wù)變得無比輕松。功能列表功能大類功能子類功能點(diǎn)功能描述備注內(nèi)容監(jiān)控網(wǎng)頁監(jiān)控關(guān)鍵詞監(jiān)控根據(jù)用戶定義的關(guān)鍵詞，對流入流出服務(wù)器的內(nèi)容進(jìn)行高速搜索，對命中內(nèi)容可以進(jìn)行替換、攔截和記錄日志等多種手段處理。動(dòng)態(tài)規(guī)則保護(hù)使用動(dòng)態(tài)規(guī)則，對于多次命中統(tǒng)一規(guī)則的行為將在設(shè)定的一定時(shí)間內(nèi)丌再處理，直接返回提示信息，必要監(jiān)控效率，極大降低服務(wù)器性能資源的占用訪問控制根據(jù)來源IP、訪問URL、網(wǎng)站等訪問控制對象，建立快速處理的黑白名單，極大優(yōu)化了系統(tǒng)效率。搜索深度控制可設(shè)置關(guān)鍵字搜索深度，有效杜絕關(guān)鍵字中加特殊字符以逃避監(jiān)控的行為。誤判排除設(shè)置根據(jù)中文是孤立語系，必須依賴于上下文的特點(diǎn)，提供關(guān)鍵詞排除功能，有效避免誤判的可能。監(jiān)測信息警示及相關(guān)統(tǒng)計(jì)告警信息及時(shí)提醒管理員。隨時(shí)統(tǒng)計(jì)命中次數(shù)較多的高危網(wǎng)站和高命中率的關(guān)鍵詞。提供關(guān)鍵詞、網(wǎng)站、以及訪問IP的統(tǒng)計(jì)圖表，清晰而且直觀。圖像監(jiān)控色情圖像掃描引擎掃描服務(wù)器和站點(diǎn)圖片文件中存在的色情等非法內(nèi)容，多級組合神經(jīng)網(wǎng)絡(luò)和向量機(jī)分類器，進(jìn)行多級輸出，符合人類模糊判別的特點(diǎn)，超越簡單的人體膚色判別，結(jié)合輪廓和局部提取體征，多達(dá)55個(gè)特征點(diǎn)的判別，識別率>98%,誤判率<2%.色情信息統(tǒng)計(jì)可對服務(wù)器和站點(diǎn)分別統(tǒng)計(jì)和圖示。分檢中心基于人類對于色情圖像的判斷標(biāo)準(zhǔn)丌確定性，提供實(shí)時(shí)縮略的分揀中心，方便管理員對結(jié)果進(jìn)行人工分揀。安全監(jiān)控安全防護(hù)防SQL注入防止SQL注入攻擊網(wǎng)站應(yīng)用。可根據(jù)攻擊特征，自行添加和維護(hù)需要攔截的sql語句組合，便于管理員維護(hù)和管理防盜鏈設(shè)置禁止特定后綴的URL只能從本服務(wù)器被引用?？筛鶕?jù)需要保護(hù)的文件后綴，自行添加和維護(hù)需要保護(hù)的文件鏈接。防溢出限制HTTP請求的長度，防止緩沖區(qū)溢出攻擊。HTTP請求類型控制可以分別設(shè)置是否允許以下http請求類型，PUT、DELETE、TRACE、DEBUG、HEAD、POST、GET。文件類型控制對于譬如.mdb之類的數(shù)據(jù)庫文件，可以設(shè)定為禁止從WEB訪問，從而保證敏感文件的安全。URL重定向URL重定向設(shè)置特定網(wǎng)站／ＵRL訪問自動(dòng)重定向到指定地址泛綁定實(shí)現(xiàn)*.按預(yù)設(shè)規(guī)則轉(zhuǎn)發(fā)到特定站點(diǎn)的作用。減少在Windows虛擬主機(jī)上對于獨(dú)立IP的占用。網(wǎng)站備案網(wǎng)站備案查詢自動(dòng)查詢服務(wù)器上各站點(diǎn)的備案情況IIS保護(hù)IIS目錄解析漏洞防止命名為類似abc.asp的目錄被當(dāng)作ASP解析執(zhí)行。應(yīng)用程序池監(jiān)控實(shí)時(shí)監(jiān)控應(yīng)用程序池，對于意外關(guān)閉的應(yīng)用程序池進(jìn)行重置和開啟性能監(jiān)控性能監(jiān)控網(wǎng)站訪問監(jiān)控針對服務(wù)器或站點(diǎn)，查看流入流出數(shù)據(jù)量，平均帶寬，點(diǎn)擊數(shù)等網(wǎng)站訪問信息，并實(shí)現(xiàn)實(shí)時(shí)統(tǒng)計(jì)網(wǎng)站流量和訪問次數(shù)，進(jìn)行排名。WEB性能監(jiān)控實(shí)時(shí)監(jiān)控CPU，磁盤，內(nèi)存，進(jìn)程，網(wǎng)絡(luò)等各方面資源，并生成圖表，為機(jī)房性能管理提供了方便有效的監(jiān)控手段。系統(tǒng)特性系統(tǒng)特性分布式集中管理使用分布式集中管理架構(gòu)，1個(gè)集中管理的控制中心管理多個(gè)分布式被監(jiān)控服務(wù)器，管理員可以通過控制中心管理所有被控服務(wù)器，無須登錄所有被控服務(wù)器操作，極大的方便系統(tǒng)管理，提高效率，并可由控制中心自動(dòng)進(jìn)行調(diào)度，分發(fā)，和日志的收集。丌僅能方便地進(jìn)行關(guān)鍵詞設(shè)定和監(jiān)控服務(wù)器性能，而且，因?yàn)榧薪y(tǒng)計(jì)、集中對比，所以能更全面統(tǒng)計(jì)各關(guān)鍵詞的命中率，對于丌良網(wǎng)站也能更快地檢出。多種消息提醒可實(shí)現(xiàn)管理中心，郵件，短信等多種途徑的消息提醒，減輕管理員的監(jiān)控負(fù)擔(dān)。實(shí)現(xiàn)全天候的管理。完備的日志功能不僅有過濾日志，而且還記錄有用戶日志、任務(wù)日志、錯(cuò)誤日志等，以滿足系統(tǒng)維護(hù)的全面需求。自動(dòng)數(shù)據(jù)維護(hù)能夠?qū)?shù)據(jù)庫進(jìn)行自動(dòng)維護(hù)，并自動(dòng)清除過期數(shù)據(jù)，管理員可以通過管理中心做詳細(xì)的維護(hù)計(jì)劃。完善的用戶管理詳細(xì)劃分了系統(tǒng)權(quán)限和用戶角色，各操作界面都有權(quán)限控制，丌具備權(quán)限的用戶無法越權(quán)使用。兼顧特殊需求主控服務(wù)器在管理上也兼顧了管理員對于特殊服務(wù)器，特殊網(wǎng)站的設(shè)置需求，對于集中管理下的各個(gè)服務(wù)器可以單獨(dú)設(shè)置，統(tǒng)計(jì)時(shí)也可以選擇需要查看的服務(wù)器進(jìn)行單獨(dú)統(tǒng)計(jì)。系統(tǒng)結(jié)構(gòu)網(wǎng)清系統(tǒng)從整體上劃分成兩大部分：集中控制中心和分布式被監(jiān)控服務(wù)器?？刂浦行目刂浦行挠锌刂浦行暮笈_、控制中心數(shù)據(jù)庫和集中控制服務(wù)組成?？刂浦行暮笈_負(fù)責(zé)向前臺工作在管理員客戶端瀏覽器中的AJAX客戶端程序提供各種管理服務(wù)和數(shù)據(jù)?？刂浦行暮笈_與集中控制服務(wù)之間，通過數(shù)據(jù)庫進(jìn)行交互。集中控制服務(wù)提供各種操作的分發(fā)和任務(wù)調(diào)度。并且與被控服務(wù)器上的被控服務(wù)通信，傳遞過濾規(guī)則和過濾日志等內(nèi)容。被控服務(wù)器被控服務(wù)器上包含被控服務(wù)和網(wǎng)絡(luò)內(nèi)容過濾器兩大部分。二者之間通過配置文件和日志進(jìn)行數(shù)據(jù)通信。被控服務(wù)負(fù)責(zé)接受控制中心發(fā)來的命令，更新內(nèi)容過濾規(guī)則和提交過濾的日志結(jié)果。網(wǎng)絡(luò)內(nèi)容過濾器負(fù)責(zé)對服務(wù)器上的網(wǎng)絡(luò)內(nèi)容進(jìn)行分析篩選和過濾操作。集中化管理網(wǎng)清系統(tǒng)中采用了集中化管理的方式。本系統(tǒng)可能在機(jī)房中被部署在多臺服務(wù)器上，甚至可能被部署在多個(gè)機(jī)房當(dāng)中。為了方便對系統(tǒng)進(jìn)行有效的管理，必須采用集中化管理的方式。網(wǎng)清系統(tǒng)中，無論被管理的有多少臺服務(wù)器，管理員均在唯一的控制中心進(jìn)行管理。系統(tǒng)中的規(guī)則可以指定適用范圍，有指定適用范圍的規(guī)則將適用于整個(gè)系統(tǒng)中的所有服務(wù)器。當(dāng)有新的服務(wù)器被加入到系統(tǒng)中時(shí)，所有的全局規(guī)則講自動(dòng)的配置到新加入的服務(wù)器中，不需要人工進(jìn)行指定。最大程度的減少了管理員需要進(jìn)行的管理工作量。實(shí)施方案：對web服務(wù)器采用服務(wù)器虛擬化產(chǎn)品Virtuozzo進(jìn)行虛擬化后提供給二級部門，對二級部門的服務(wù)器、虛擬服務(wù)器（可以在同一機(jī)房，也可以不在同一機(jī)房）部署網(wǎng)清內(nèi)容管理系統(tǒng)的被控端管理程序，再通過網(wǎng)清內(nèi)容管理系統(tǒng)的管理端進(jìn)行管理。成功案例：西南交通大學(xué)使用服務(wù)器虛擬化產(chǎn)品Virtuozzo，通過對五臺物理服務(wù)器虛擬成虛擬服務(wù)器200個(gè)以上，將提供給學(xué)校的二級部門放網(wǎng)站使用，解決了放一個(gè)物理服務(wù)器上共享IIS的情況，還保障二級部門有相當(dāng)?shù)淖杂啥龋€有余下的虛擬服務(wù)器進(jìn)行測試軟件的環(huán)境搭建等。成都理工大學(xué)使用服務(wù)器虛擬化產(chǎn)品Virtuozzo，通過對一臺物理服務(wù)器虛擬成虛擬服務(wù)器30個(gè)以上，將提供給學(xué)校的二級部門放網(wǎng)站使用，解決了放一個(gè)物理服務(wù)器上共享IIS的情況，還保障二級部門有相當(dāng)?shù)淖杂啥?。西華大學(xué)使用服務(wù)器虛擬化產(chǎn)品Virtuozzo，通過對兩臺物理服務(wù)器虛擬成虛擬服務(wù)器60個(gè)以上，將提供給學(xué)校的二級部門放網(wǎng)站使用，，解決了放一個(gè)物理服務(wù)器上共享IIS的情況，還保障二級部門有相當(dāng)?shù)淖杂啥?。四川外語學(xué)院使用服務(wù)器虛擬化產(chǎn)品Virtuozzo，通過對四臺物理服務(wù)器虛擬成虛擬